[发明专利]一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统及方法

权利要求书

1.一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统，其特征在于：包括进程信息获取模块、进程模式训练模块、进程模式数据库模块、进程模式匹配模块、进程处理模块；

进程信息获取模块包括获取模块、查询模块和确定模块，获取模块首先获取Xen虚拟机内存的中断描述符表寄存器的base数值，根据base数值获取操作系统类型，并将操作系统类型输出到查询模块；

查询模块接收获取模块输入的操作系统类型，查询预设的内核数据结构偏移集合，确定与操作系统类型对应的内核数据结构偏移数组，数据结构偏移数组为一个二元组，第一个元素是操作系统类型对应的虚拟机的进程链表数据结构，第二个元素是操作系统类型对应的虚拟机中进程信息的偏移量，根据得到的进程链表数据结构确定操作系统类型对应的虚拟机中各进程对应的结构体的虚拟地址，将该虚拟地址和进程信息偏移量输出到确定模块；

确定模块接收虚拟地址和进程信息偏移量后，获取所述操作系统类型对应的虚拟机中各进程的进程信息，当本系统的工作状态为进程模式训练阶段时，将进程信息输出给进程模式训练模块，当本系统的工作状态为进程模式匹配阶段时，将进程信息输出到进程模式匹配模块；

进程模式训练模块，采用基于相关性剪枝BP神经网络的进程模式训练方法对进程信息进行训练，得到正常进程行为模式和恶意进程行为模式，并将正常进程行为模式和恶意进程行为模式输出到进程模式数据库模块；

进程模式数据库模块，将进程模式训练模块输入的正常进程行为模式存储到正常进程行为模式数据库，将进程模式训练模块输入恶意进程行为模式存储到恶意进程行为模式数据库；

进程模式匹配模块对接收到的进程信息与恶意进程行为模式数据库中数据模式进行模式匹配，若匹配成功，则该进程是恶意进程，并将匹配结果输出到进程处理模块；若匹配不成功，将该进程信息与正常进程行为模式数据库中数据模式进行模式匹配，若匹配成功，则认为是正常进程，并将匹配结果输出到进程处理模块；若匹配仍不成功，则输出“无法识别”到进程处理模块；

进程处理模块对进程模式匹配模块的输入结果进行处理，若输入是正常进程，则不做处理；若是恶意进程，则发出警报信息；若是“无法识别”，则由用户手动处理该进程。

2.根据权利要求1所述的一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统，其特征在于：所述的基于相关性剪枝BP神经网络的输入层具有5个神经元，接收正常进程样本或恶意进程样本x₁,x₂,x₃,x₄,x₅，中间层具有10个神经元，输出层具有2个神经元，输出层的输出表示进程行为模式；中间层输出h_j，j＝1,2,…,10，输入层与中间层神经元之间的连接权值w_ij，i＝1,2,…,5,j＝1,2,…,10，中间层与输出层神经元之间的连接权值v_jk，j＝1,2,…,10,k＝1,2，中间层阈值a＝[a₁,a₂,…,a₁₀]，输出层阈值b＝[b₁,b₂]。